I kwartał 2014 r.: dwukrotnie więcej mobilnych trojanów bankowych i ataki na portfele bitcoin

Eksperci z Kaspersky Lab podsumowali aktywność cyberprzestępców w pierwszym kwartale 2014 r. Trzy miesiące po opublikowaniu analizy za 2013 r. wyraźnie widać, że trzy prognozy specjalistów już się sprawdziły.

Eksperci przewidywali, że cyberprzestępcy będą atakować:

– Prywatność, co zwiększy popularność usług VPN oraz anonimowych sieci typu Tor. Liczba osób, które zwracają się w kierunku „mrocznej części internetu” (tzw. Darknet), chcąc zabezpieczyć swoje dane osobowe, rzeczywiście wzrasta. Jednak oprócz nieszkodliwych użytkowników sieć Tor nadal przyciąga „ciemne moce” – anonimowe sieci mogą ukrywać aktywność szkodliwego oprogramowania, handel na nielegalnych stronach oraz proceder prania brudnych pieniędzy. W lutym na przykład eksperci z Kaspersky Lab wykryli pierwszego trojana dla Androida (Backdoor.AndroidOS.Torec.a), który wykorzystuje domenę w pseudostrefie .onion jako serwer kontroli dla sieci zainfekowanych komputerów.

– Pieniądze. Eksperci spodziewali się, że cyberprzestępcy nadal będą rozwijać narzędzia służące do kradzieży pieniędzy. Przypuszczenia te potwierdziły się, gdy w marcu został wykryty Trojan-SMS.AndroidOS.Waller.a. Szkodnik ten potrafi kraść pieniądze z elektronicznych portfeli QIWI należących do właścicieli zainfekowanych smartfonów. Na razie trojan ten atakuje tylko użytkowników rosyjskich, potrafi jednak rozprzestrzeniać się wszędzie tam, gdzie e-portfele są zarządzane przy użyciu wiadomości tekstowych. Cyberprzestępcy stosowali również standardowe metody, takie jak rozprzestrzenianie mobilnych trojanów kradnących pieniądze przy użyciu szkodliwego spamu. Ich zasięg globalny jest o wiele większy – na przykład, trojan bankowości mobilnej Faketoken atakował użytkowników w 55 państwach.

– Bitcoiny. W ciągu pierwszych trzech miesięcy roku miało miejsce wiele incydentów potwierdzających słuszność szacunków, w których eksperci spodziewali się znacznego wzrostu liczby ataków na portfele, kopalnie oraz giełdy waluty bitcoin. Na szczególną uwagę zasługuje atak na MtGox, jedną z największych giełd bitcoinów. Cyberprzestępcy włamali się do prywatnego bloga i konta Reddit dyrektora generalnego MtGox – Marka Karpelesa – w celu umieszczenia pliku MtGox2014Leak.zip zawierającego wyspecjalizowane oprogramowanie umożliwiające wyszukiwanie i kradzież portfeli Bitcoin od użytkowników.

Próbując zwiększyć swoje nielegalne dochody, cyberprzestępcy infekują komputery i wykorzystują ich zasoby do generowania większej ilości cyfrowej waluty. Przykładem trojana wykorzystywanego w tego typu procesach jest Trojan.Win32.Agent.aduro, który znalazł się na 12 miejscu najczęściej wykrywanych szkodliwych obiektów w internecie w pierwszym kwartale.

Powrót operacji cyberszpiegowskich

W badanym okresie miał miejsce poważny incydent cyberszpiegowski: w lutym Kaspersky Lab opublikował raport dotyczący jednego z najbardziej zaawansowanych obecnie zagrożeń tego typu – The Mask. Głównym celem „Maski” były poufne informacje należące do agencji państwowych, ambasad, firm energetycznych, instytutów badawczych, prywatnych firm inwestycyjnych jak również aktywistów z 31 państw. Według badaczy, złożoność zestawu narzędzi wykorzystanych przez osoby atakujące oraz kilka innych czynników sugeruje, że możemy mieć tu do czynienia z kampanią sponsorowaną przez rząd.

„Oprócz nowych incydentów mogliśmy zobaczyć ciąg dalszy kampanii, które wydawały się już zamknięte. Na przykład, po tym jak cyberprzestępcy zamknęli wszystkie znane serwery kontroli wykorzystywane w operacji Icefog, wykryliśmy wersję tego zagrożenia przeznaczoną dla Javy. Celem poprzedniego ataku były głównie organizacje znajdujące się w Korei Południowej i Japonii, jednak nowa wersja, sądząc po wyśledzonych adresach IP, była wycelowana jedynie w organizacje amerykańskie” – powiedział Aleksander Gostiew, główny ekspert ds. bezpieczeństwa, Globalny Zespół ds. Badań i Analiz (GReAT), Kaspersky Lab.

I kwartał w liczbach

• 33,2% komputerów użytkowników na całym świecie było celem co najmniej jednego ataku sieciowego w ciągu minionych trzech miesięcy, co stanowi spadek o 5,9 punktu procentowego w porównaniu z analogicznym okresem w zeszłym roku.

• 39% zneutralizowanych ataków sieciowych zostało przeprowadzonych przy użyciu szkodliwych zasobów sieciowych zlokalizowanych w Stanach Zjednoczonych i Rosji; łączny odsetek dla tych dwóch państw odnotował wzrost o 5 punktów w porównaniu z I kwartałem 2013 r.

• Udział zagrożeń, których celem był Android, wynosił ponad 99% wszystkich mobilnych szkodliwych programów. Odsetek mobilnego szkodliwego oprogramowania zwiększył się o 1% w ciągu kwartału.

• W I kwartale liczba trojanów bankowości mobilnej wzrosła niemal dwukrotnie – z 1321 do 2503.

• Pod koniec 2013 r. bazy Kaspersky Lab, w których przechowywane są informacje o zagrożeniach mobilnych, zawierały 189 626 unikatowych próbek, jednak w samym I kwartale 2014 r. dodano do nich aż 110 324 nowych szkodliwych programów. Pod koniec kwartału kolekcja ta liczyła już 299 950 próbek.

Pełny raport poświęcony ewolucji zagrożeń w I kwartale 2014 r. pojawi się już wkrótce w serwisie Securelist.pl prowadzonym przez Kaspersky Lab.